本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。
在 Connect Customer 中开发安全联络中心的设计原则
安全性包含以下能力：通过风险评估和缓解策略在提供商业价值的同时保护信息、系统和资产。本节概述了与 Connect Customer 工作负载安全相关的设计原则、最佳实践和问题。
连接客户安全之旅
在您决定将工作负载转移到 Connect Customer 之后互联客户的安全最佳实践，除了查看Connect 客户中的安全性并遵循这些准则和步骤外，还要了解和实施与以下核心安全领域相关的安全要求：
理解 AWS 安全模型
当您将计算机系统和数据移至云端时，安全责任将由您和共同承担 AWS。 AWS 负责保护支持云的底层基础架构，并且您对放置在云端或连接到云端的任何内容负责。
您使用的 AWS 服务将决定作为安全责任的一部分必须执行多少配置工作。当您使用 Connect Customer 时，共享模型在高层次上反映了 AWS 客户的责任，如下图所示。
合规性基础
Third-party 作为多个合规计划的一部分，审计师会评估Connect客户的安全 AWS 性和合规性。这包括 SOC
有关特定合规计划范围内的 AWS 服务清单，请参阅按合规性计划划分的范围内AWS 服务
区域选择
托管 Connect Customer 实例的区域选择取决于数据主权限制以及联系人和代理人的所在地。做出该决定后，查看 Connect Customer 的网络要求以及您需要允许的端口和协议。此外，要缩小爆炸半径，请使用域允许列表或 Connect Customer 实例允许的 IP 地址范围。
有关更多信息，请参阅 设置您的网络以使用 Connect 客户联系人控制面板 (CCP)。
AWS 服务集成
我们建议根据贵组织的安全要求审查解决方案中的每项 AWS 服务。请参阅以下资源：
Connect 客户中的数据安全
在您的安全之旅中，您的安全团队可能需要更深入地了解 Connect Customer 中的数据处理方式。请参阅以下资源：
工作负载图
查看您的工作负载图，并在 AWS上架构最佳解决方案。这包括分析和决定您的解决方案中应包含哪些附加 AWS 服务以及需要集成的任何第三方和本地应用程序。
AWS Identity and Access Management (IAM)
Connect 客户角色的类型
根据正在执行的活动，Connect Customer角色有四种类型。
-
AWS 管理员 — AWS 管理员创建或修改 Connect 客户资源，还可以使用 AWS Identity and Access Management (IAM) 服务将管理访问权限委托给其他委托人。此角色的范围侧重于创建和管理您的 Connect 客户实例。
-
连接客户管理员 — 服务管理员决定员工应在 Connect Customer 管理员网站上访问哪些 Connect Customer 功能和资源。服务管理员分配安全配置文件以确定谁可以访问 Connect Customer 管理员网站以及他们可以执行哪些任务。该角色的范围侧重于创建和管理您的Connect客户联络中心。
-
连接客户代理 — 代理与 Connect Customer 互动以履行其工作职责。服务用户可能是联络中心工作人员或主管。
-
Connect 客户服务联系人 — 与您的 Connect 客户联络中心互动的客户。
IAM 管理员最佳实践
IAM 管理访问权限应仅限于组织内经批准的人员。IAM 管理员还应了解哪些 IAM 功能可供连接客户使用。有关 IAM 最佳实践，请参阅《IAM 用户指南》中的 IAM 中的安全最佳实践。另请参阅 Connect 基于客户身份的政策示例
Connect 客户服务管理员最佳实践
服务管理员负责管理 Connect Customer 用户，包括将用户添加到 Connect Customer 中，向他们提供证书，并分配相应的权限，以便他们能够访问工作所需的功能。管理员最开始只应授予最低权限，然后根据需要授予其它权限。
Connect 客户和联系人控制面板 (CCP) 访问的安全配置文件帮助您管理谁可以访问Connect客户控制面板和联系人控制面板，以及谁可以执行特定任务。查看在本地可用的默认安全配置文件中授予的精细权限。可以设置自定义安全配置文件以满足特定要求。例如，可以接听电话但也可以访问报告的权力座席。最终确定此内容后，应将用户分配给正确的安全配置文件。
Multi-Factor 身份验证
为了提高安全性，建议您要求账户中的所有 IAM 用户进行多重身份验证 (MFA)。如果更适合您的用例，可以通过 AWS IAM 或您的 SAML 2.0 身份提供商或 Radius 服务器设置 MFA。设置 MFA 后，连接客户登录页面上会出现第三个文本框以提供第二个要素。
联合身份验证
除了在 Connect Customer 中存储用户外，您还可以使用联合身份验证启用单点登录 (SSO) 来连接客户。联邦是推荐的做法，允许员工生命周期事件在来源身份提供商中进行时反映在 Connect Customer 中。
对集成应用程序的访问权限
流程中的步骤可能需要凭据才能访问外部应用程序和系统中的信息。要提供以安全方式访问其他 AWS 服务的证书，请使用 IAM 角色。IAM 角色是指自身拥有一组权限的实体，但不是指用户或组。角色也没有自己的一组永久凭证，并且会自动轮换。
诸如 API 密钥之类的凭证应存储在流应用程序代码之外，以便能够以编程方式检索它们。为此，您可以使用 AWS Secrets Manager 或现有的第三方解决方案。使用密钥管理器，您可以将代码中的硬编码凭据（包括密码）替换为对密钥管理器的 API 调用，以编程方式检索密钥。
侦测性控制
日志记录和监控对于联络中心的可用性、可靠性和性能非常重要。您应记录从 “将客户流连接到亚马逊 CloudWatch ” 中的相关信息，并据此生成警报和通知。
您应尽早定义日志保留要求和生命周期策略，并计划尽快将日志文件移至经济高效的存储位置。将客户公共 API 日志连接到 AWS CloudTrail。您应该查看并自动执行基于 CloudTrail 日志设置的操作。
Amazon S3 是对日志数据进行长期保留和存档的最佳选择，特别是对于具有合规性计划的组织更是如此，这些组织要求以本机格式对日志数据进行审计。将日志数据存入 S3 存储桶后，定义生命周期规则以自动强制执行保留策略，并将这些对象移至其他经济高效的存储类，例如 Amazon S3 Standard - 不频繁访问（标准：IA）或 Amazon Glacier。
AWS 云提供灵活的基础架构和工具，既支持复杂的产品合作，又支持自我管理的集中式日志解决方案。这包括亚马逊 OpenSearch 服务和亚马逊 CloudWatch 日志等解决方案。
通过根据客户要求自定义 Connect 客户流程，可以对传入的联系人进行欺诈检测和预防。例如，客户可以在 DynamoDB 中对照之前的联系人活动来检查传入联系人，然后采取措施，例如断开联系人的连接，因为他们是被阻止的联系人。
基础设施保护
尽管 Connect Customer 中没有可管理的基础架构，但在某些情况下，您的 Connect Customer 实例可能需要与部署在本地基础设施中的其他组件或应用程序进行交互。因此，必须确保在此假设下考虑网络边界。审查并实施特定的 Connect 客户基础设施安全注意事项。此外，出于安全考虑，请查看联络中心座席和主管桌面或 VDI 解决方案。
您可以配置 Lambda 函数来连接到您账户中虚拟私有云（VPC）的私有子网。使用 Amazon Virtual Private Cloud 为资源（如数据库、缓存实例或内部服务）创建私有网络。将您的函数连接到 VPC，以便在执行期间访问私有资源。
数据保护
客户应分析遍历联络中心解决方案并与之交互的数据。
-
第三方和外部数据
-
On-premises 混合连接客户架构中的数据
在分析了数据的范围之后，在执行数据分类时应注意识别敏感数据。连接客户符合责任 AWS 共担模式。“连接客户” 中的数据保护包括使用 MFA 和 TLS 以及使用其他 AWS 服务（包括亚马逊 Macie）等最佳实践。
Connect 客户可处理与联络中心相关的各种数据。这包括电话呼叫媒体、通话录音、聊天转录、联系人元数据以及流、路由配置文件和队列。Connect 客户通过按账户 ID 和实例 ID 隔离数据来处理静态数据。使用开放标准 TLS 加密，与 Connect 客户交换的所有数据在用户的 Web 浏览器和 Connect 客户之间传输时均受到保护。
您可以指定用于加密的 AWS KMS 密钥，包括自带密钥 (BYOK)。此外，您还可以在 Amazon S3 中使用密钥管理选项。
使用 Client-Side 加密保护数据
您的用例可能需要对数据流收集的敏感数据进行加密。例如，收集适当的个人信息，以自定义客户在与您的 IVR 互动时的体验。为此，您可以在 AWS 加密开发工具包中使用公有密钥密码术。 AWS Encryption SDK 是一个客户端加密库，旨在让每个人都能高效地使用开放标准和最佳实践加密和解密数据。
输入验证
执行输入验证，确保只有格式正确的数据才能进入流程。这一情况应该在流中尽早发生。例如，当提示客户说出或输入电话号码时，他们可能会也可能不包括国家/地区代码。
连接客户安全向量
Connect 客户安全性可以分为三个逻辑层，如下图所示：
-
座席工作站。代理工作站层不由任何物理设备 AWS 和第三方技术、服务和端点管理，它们可以帮助您的代理发送语音、数据和访问Connect Customer接口层。
请遵循该层的安全最佳实践，并特别注意以下几点：
-
计划身份管理时要牢记互联客户的安全最佳实践中提到的最佳实践。
-
通过创建可用于绕过代理对敏感信息的访问的安全 IVR 解决方案，降低与处理敏感信息的工作负载相关的内部威胁和合规风险。通过对流中的联系人输入进行加密，您能够安全地捕获信息，而无需将其泄露给您的座席、其工作站或其操作环境。有关更多信息，请参阅 在 Connect 客户中对敏感的客户输入进行加密。
-
您负责维护使用 Connect Customer 所需 AWS 的 IP 地址、端口和协议的允许列表。
-
-
AWS：该 AWS 层包括连接客户和 AWS 集成 AWS Lambda，包括亚马逊 DynamoDB、亚马逊 API 网关、亚马逊 S3 和其他服务。遵循 AWS 服务安全支柱指南，特别注意以下几点：
-
计划身份管理时，要牢记互联客户的安全最佳实践中提到的最佳实践。
-
与其他 AWS 服务的集成：确定用例中的每项 AWS 服务以及适用于该用例的任何第三方集成点。
-
Connect 客户可以通过适用于 Lambda 的 VPC 终端节点与在客户 V PC 内运行的 AWS Lambda 函数进行集成。
-
-
外部：外部层包括联系点，包括聊天、点击通话端点和用于语音呼叫的 PSTN、您在混合联络中心架构中可能与传统联络中心解决方案的集成，以及您可能与其他第三方解决方案的集成。您的工作负载中第三方的任何入口点或出口点均被视为外部层。
该层还涵盖了客户可能与其他第三方解决方案和应用程序（例如 CRM 系统、劳动力管理 (WFM) 以及报告和可视化工具和应用程序（如 Tableau 和 Kibana）的集成。在保护外部层时，您应考虑以下事项：
-
您可以使用在流程中向 DynamoDB 写入联系人详细信息来为重复联系人和欺诈性联系人
创建联系人过滤器，包括 ANI、点击拨号和聊天终端节点的 IP 地址以及任何其他用于跟踪给定时间段内出现的联系请求数量的识别信息。 AWS Lambda 使用这种方法，您可以查询联系人并将其添加到拒绝列表中，如果他们超过合理级别，则自动断开他们的连接。 -
使用 Connect Customer 电话元数据和合作伙伴解决方案的 ANI 欺诈检测解决方案
可用于防范来电显示欺诈。 -
Connect 客户语音 ID 和其他语音生物识别合作伙伴解决方案可用于增强和简化身份验证流程。主动语音生物识别身份验证允许联系人选择说出特定的短语，并使用这些短语进行语音签名身份验证。被动语音生物识别允许联系人注册其唯一声纹，并使用其声纹对任何符合身份验证的足够长度要求的语音输入进行身份验证。
-
维护 Connect Customer 控制台中的应用程序集成部分，以便将任何第三方应用程序或集成点添加到许可名单，并移除未使用的终端节点。
-
仅将满足最低要求所需的数据发送到处理敏感数据的外部系统。例如，如果您只有一个业务部门使用您的通话录音分析解决方案，则可以在 S3 存储桶中设置 AWS Lambda 触发器来处理联系记录，在联系记录数据中检查该业务部门的特定队列，如果是属于该部门的队列，则仅将该通话录音发送到外部解决方案。使用这种方法，您只需发送必要的数据，从而可避免与处理不必要的录音相关的成本和开销。
有关使 Connect 客户能够与亚马逊 Kinesis 和 Amazon Redshift 通信以实现联系人记录流式传输的集成，请参阅连接客户集成：数据流。
-
资源
文档
文章
视频
